Como identificar e-mails de phishing
O phishing é a técnica de engenharia social mais comum na Internet. O atacante envia e-mails que imitam empresas legítimas: bancos, fornecedores de serviços, redes sociais: para enganar o destinatário e levá-lo a revelar palavras-passe, dados bancários ou informações pessoais. Em Portugal, os ataques mais comuns imitam a CGD, o Millennium, os CTT, a AT (Autoridade Tributária) e operadores de telecomunicações.
Sinais de alerta
Verifique o endereço completo e compare com informação oficial obtida fora da mensagem. Um domínio parecido é um alerta, mas o remetente visível pode ser falsificado e uma conta legítima pode ser comprometida. Confirme pedidos sensíveis por um canal conhecido.
Urgência artificial: “A sua conta será encerrada em 24 horas”, “Ação imediata necessária”, “Verificação de segurança urgente”. O objetivo é impedir que pense racionalmente e o leve a clicar sem reflectir.
Links suspeitos: passe o rato sobre os links SEM clicar. O texto pode dizer “www.banco.pt” mas o link real ir para “www.banco-pt-login.xyz”. Se o URL não corresponde ao site legítimo da empresa, é phishing.
Erros de português: traduções automáticas, erros gramaticais ou ortográficos, formatação inconsistente. As empresas legítimas investem em comunicação profissional.
Pedidos de informação sensível: nenhum banco, serviço de hosting ou empresa legítima pede palavras-passe, PINs, números de cartão ou códigos de segurança por e-mail. Nunca.
Anexos inesperados: faturas que não pediu, documentos de encomendas que não fez. Ficheiros .exe, .zip, .doc com macros ou .html podem conter malware.
O que fazer se receber um e-mail suspeito
Não clique em nenhum link. Não abra anexos. Não responda. Se tem dúvidas sobre a legitimidade, contacte a empresa diretamente pelo telefone oficial ou aceda ao site escrevendo o endereço manualmente no navegador: nunca através de links no e-mail. Se inseriu dados num site falso, mude as palavras-passe imediatamente e contacte o banco se envolveu informação financeira.
Proteção para a sua empresa
Configure SPF, DKIM e DMARC no seu domínio para prevenir que atacantes enviem e-mails falsos em nome da sua empresa (spoofing). Eduque a equipa sobre phishing: uma única pessoa que clica num link pode comprometer toda a organização. Use autenticação de dois fatores em todas as contas: mesmo que as credenciais sejam comprometidas por phishing, o 2FA impede o acesso.
Confirmar o pedido fora do email recebido
Quando uma mensagem pede pagamento ou alteração de dados bancários, confirme por um contacto que já conhece. Não use o telefone ou o link apresentado na própria mensagem suspeita. Uma conversa aparentemente legítima também pode ter sido comprometida.
Se clicou ou introduziu credenciais, registe o que aconteceu e avise a equipa responsável. Altere acessos a partir de um dispositivo de confiança e reveja sessões. Preserve a mensagem para análise; o remetente visível, por si só, não prova quem enviou o email.
Como validar o envio antes de considerar o problema resolvido
Uma verificação útil começa por identificar todos os serviços que enviam mensagens com o domínio da empresa: caixas dos colaboradores, site WordPress, plataforma de faturação, formulários e campanhas. Cada origem tem de ser analisada separadamente. Um registo SPF aparentemente correto não substitui a assinatura DKIM, e uma política DMARC não deve ser endurecida sem consultar os relatórios e confirmar os remetentes legítimos.
Depois de uma alteração, envie mensagens de teste para destinatários externos e consulte os cabeçalhos completos quando existirem rejeições. Procure os resultados de autenticação e a identificação do servidor que enviou a mensagem. Se um e-mail chegar à pasta de spam, isso não significa necessariamente que o servidor esteja indisponível; pode haver uma questão de reputação, conteúdo, alinhamento dos domínios ou regras do destinatário. Registe exemplos com data e destinatário antes de pedir assistência.
Como agir nas primeiras horas depois de um alerta
Identifique o sistema afetado, limite acessos desnecessários e preserve registos. Não elimine ficheiros ou reinstale tudo sem compreender o alcance do incidente. Se suspeita que houve exposição de passwords, substitua-as a partir de um dispositivo de confiança e reveja os administradores existentes.
Depois da contenção, analise a origem e teste a recuperação. Restaurar um backup contaminado pode reproduzir a falha. Distinga factos confirmados de hipóteses para que a resposta não seja orientada por suposições.
Camadas de proteção com funções diferentes
SSL, firewall, proteção contra malware e backups têm objetivos distintos. O HTTPS cifra a comunicação, mas não elimina vulnerabilidades de plugins. Uma cópia de segurança apoia a recuperação, mas não substitui prevenção. A firewall pode bloquear padrões de ataque sem impedir que uma password roubada seja utilizada.
Reveja periodicamente versões, utilizadores e permissões. A empresa deve saber o que é responsabilidade do alojamento e o que pertence à manutenção da aplicação. Esta distinção facilita a resposta quando surge um incidente.
Proteger os contactos comerciais
Defina um procedimento para confirmar pedidos de pagamento e alterações de dados antes de agir.
Podemos avaliar o serviço de correio adequado à empresa. Veja os nossos planos de e-mail profissional. Fale connosco se precisa de ajuda a escolher.